標的型攻撃とは、企業や官公庁など、特定の組織から機密情報等を窃取することを目的としたサイバー攻撃です。高度標的型攻撃とは、以下の特徴を持ちます。目的は、目標とする組織の端末にマルウェアを感染させることです。想定される攻撃の手口は以下になります。目標組織に対し、マルウェアを添付したメールを送付し、その添付ファイルをクリックさせる。目標組織に対し、マルウェアを仕込んだWebサイトのURLを貼り付けたメールを送付し、そのWebサイトにアクセスさせる。初期侵入が成功する要因は以下になります。送られてくるメールや添付ファイルは、日常的にやり取りメールに偽装しているため、攻撃者のものと見分けられない。亜種のマルウェアが多数作られるため、従来のシグネチャベースのアンチウィルスでは検知できない。目的は、C&Cサーバとのコネクトバック通信の開設です。コネクトバック通信のパターンは以下になります。外部との通信を行うタイプのマルウェアプロキシと連携するタイプのマルウェアプロキシの認証機能を突破するタイプのマルウェア基盤構築が成功する要因は以下になります。HTTP/HTTPSなどの通常の通信プロトコルが使われるため、通信の特徴だけでは検知が難しい。目的は、ネットワーク環境の情報収集と侵害の拡大です。情報収集の手法は以下になります。侵入した端末から管理者アカウントのパスワードハッシュを搾取する。ファイル共有機能などを使い、近隣端末に攻撃用のツールをコピーする。コピーした攻撃用のツールをリモート実行し、近隣端末を乗っ取る。イベントログなどを削除し、痕跡を消去する。内部侵入が成功する要因は以下になります。乗っ取ったサーバからの機密情報の搾取や、重要システムの破壊が行われます。搾取した情報は、データ分割して外部に送出されるため、ファイル単位での発見は困難となります。継続的に再侵入のために、バックドアが設置も行われます。向けたシステム設計ガイド」を基に解説します。システム設計の目的は、システム内部での侵害拡大を防止することであり、その要点は以下になります。攻撃者が心理的に内部探索しづらいステム設計を施す攻撃者の内部探索活動を検知するためのトラップを設置するシステム管理者が内部活動を早期に気付けるようにするシステム設計対策は、高度標的型攻撃の攻撃フェーズの内、基盤構築段階と内部侵入段階における計6つの対策となります。感染したユーザ端末から直接インターネット上のC&Cサーバへ接続するコネクトバック通信を遮断します。マルウェアの約半分は、システム構成を意識せず直接インターネット上のC&Cサーバにアクセスしようとします。社内からの通信は明示的にプロキシ経由に限定し、プロキシを経由しない外部への通信をファイアウォールで遮断します。具体的な実装は以下になります。インターネットにアクセスを行うブラウザなどで、組織内のプロキシを明示的に指定する。ファイアウォールにおいて、TCP/80やTCP/443ポートを使用するインターネット閲覧については、組織内プロキシ経由の通信のみ許可する。認証機能を持たないプロキシを突破してC&Cサーバへ接続するコネクトバック通信を遮断します。プロキシを導入していても、認証機能がなかったり、シングルサインオンにより自動的に認証が行われる場合、または敏捷情報をブラウザに保存する設定となっている場合は、マルウェアによるコネクトバク通信が確立してしまいます。そのため、次のような機能をもつプロキシの導入が推奨されています。ユーザ管理機能付き、またはディレクトリサービスなどとの連携が可能ユーザ単位での認証が可能プロキシによるアクセス制御CONNECTメソッドを利用してセッションを維持するコネクトバック通信を遮断します。一般にCONNECTメソッドは、SSL/TLSなどのプロトコルをトンネリングさせるために使用されます。マルウェアはCONNECTメソッドを利用し、443ポート以外でコネクトバック通信を確立させます。ネットワーク分離ユーザ端末と運用管理専用端末のネットワークを分離し、ユーザ端末から運用管理業務で使われている管理者情報の搾取を防ぎます。サーバの運用管理業務を通常業務と同じユーザ端末で行っていると、ユーザ端末がマルウェアに不正侵入されたと同時にサーバに対するアカウント情報も搾取されてしまします。そのため、サーバの運用管理専用の端末を用意し、通常業務を行うユーザ端末があるネットワークと分離し、かつインターネットともアクセスを行わない環境に設置します。攻撃者がリモートコントロールしたユーザ端末から、周囲のユーザ管理端末へファイル共有機能を悪用した内部侵害の拡大を防止します。ツールのコピーや実行に利用されるツールは、FTPサービス、Windowsファイル共有機能、echoコマンドなどです。管理者権限アカウントのキャッシュを禁止することで、攻撃者に管理者権限のアカウント情報を搾取されないようにします。ログインを監視することで、管理者権限アカウントの不正利用を検知します。理数の散策路.ホーム検索トップサイドバータイトルとURLをコピーしました。